20 Oct 20266 minutes read
SendmarcESaaS: dónde encaja la autenticación del correo y por qué importa
Resumen:
- Los receptores comprueban sus registros DNS publicados para decidir si el correo que usa su dominio supera la autenticación.
- Con la aplicación, esos servidores rechazan o ponen en cuarentena el correo que falla la autenticación de su dominio.
- La delegación de DNS saca del DNS las actualizaciones rutinarias de políticas y las lleva a una plataforma gestionada.
- Los reportes agregados dan visibilidad de los remitentes a los equipos de seguridad y evidencia de la aplicación a los auditores.
- Los dominios similares quedan fuera de su política DMARC y requieren una monitorización aparte.
Los equipos de correo empresariales lidian con un control de cambios lento, una infraestructura por capas y un flujo constante de nuevas herramientas de envío. Cada nuevo producto de seguridad añade coordinación, aprobaciones y trabajo a un equipo que ya está al límite. Eso hace que cualquier servicio que toque la infraestructura de correo sea difícil de vender internamente.
La seguridad del correo como servicio (ESaaS) traslada la protección del correo a la nube. Algunos productos de ESaaS pueden analizar el correo en busca de phishing y malware y comprobar los resultados de SPF, DKIM y DMARC de los mensajes entrantes. Otros cubren la detección de apropiación de cuentas, la prevención de pérdida de datos y la corrección posterior a la entrega.
La autenticación del correo es una de las partes del ESaaS que protege sus dominios. Los servidores receptores comprueban los registros DMARC, SPF y DKIM que publica su organización para decidir si el correo que usa su dominio supera la autenticación.
Con la aplicación, esos registros permiten que los servidores de clientes, proveedores y socios rechacen o pongan en cuarentena el correo que falla la autenticación. Este artículo trata el componente de autenticación saliente del ESaaS.
Antes de evaluar el lado de autenticación saliente del ESaaS, compruebe si los registros publicados de su dominio protegen a quienes reciben su correo con el verificador de registros DMARC gratuito de Sendmarc.
Por qué importa la autenticación saliente en el ESaaS
El filtrado entrante actúa solo sobre el correo que recibe su empresa. No tiene control sobre cómo tratan los servidores de un cliente o proveedor un mensaje que usa su dominio. Según la RFC 9989, esos servidores receptores consultan su política DMARC publicada y deciden cómo tratar el mensaje guiándose por ella.
La cobertura de este componente saliente varía entre los productos de ESaaS. Algunos incluyen reportes DMARC o gestión de registros, mientras que otros se centran en la protección entrante. Confirme si su producto actual incluye un servicio de autenticación del correo para sus propios dominios antes de dar por hecho que están cubiertos.
Añadir un servicio de autenticación del correo no cambia cómo se enruta su correo. Lo que cambia es cómo se publican y se mantienen en el DNS sus registros DMARC, SPF y DKIM.
Cómo se conecta un servicio de autenticación del correo a través del DNS
Un servicio de autenticación del correo suele conectarse mediante delegación de DNS. Usted sustituye una sola vez cada registro de autenticación por un puntero a un registro que aloja el proveedor. A partir de entonces, los cambios de política se hacen en la plataforma del proveedor y no con nuevas ediciones del DNS.
El método de delegación depende del tipo de registro:
- DMARC: un registro CNAME en
_dmarcapunta a un registro TXT que aloja el servicio de autenticación del correo - SPF: el modificador
redirect=definido en la RFC 7208 indica a los servidores receptores que evalúen en su lugar el registro SPF alojado por el proveedor - DKIM: los registros NS dirigen a los servidores receptores a las claves públicas que aloja el servicio de autenticación del correo
La delegación de DKIM usa registros NS, así que confirme que su proveedor de DNS le permite añadirlos antes de la incorporación.
La delegación saca del DNS los cambios rutinarios, pero no los saca de la supervisión. Incorpore los cambios hechos dentro del servicio de autenticación del correo a sus registros de cambios existentes, para que los auditores puedan rastrear cada paso de la aplicación.
Cómo alimenta un servicio de autenticación del correo sus reportes
Los reportes DMARC funcionan con datos que los servidores receptores ya envían. Los receptores envían reportes agregados en XML a la dirección de la etiqueta rua= de su registro. Cada reporte resume qué direcciones IP enviaron correo con su dominio y si esos mensajes superaron SPF, DKIM y la alineación.
Con decenas de dominios, el XML en bruto es difícil de interpretar. Un servicio de autenticación del correo procesa esos reportes para mostrar qué servicios envían correo con su dominio, con qué frecuencia supera cada uno la autenticación y qué fuentes no están autorizadas. Sus equipos de seguridad y cumplimiento pueden obtener esos datos del servicio de autenticación del correo sin construir una canalización aparte.
Los mismos datos respaldan las auditorías. Un historial de cambios de política y de resultados de autenticación ofrece a los comités de riesgos y a los auditores evidencia de que los controles existen y se aplican.
Dónde encaja el ESaaS en la respuesta a incidentes
Los reportes agregados pueden mostrar fuentes no autorizadas que usan su dominio, como una dirección IP desconocida que envía en volumen o una herramienta de terceros que nadie aprobó. El servicio de autenticación del correo saca a la luz esa señal. Su manual de respuesta a incidentes decide qué ocurre después.
Añada una sección sobre abuso de dominios y remitentes desconocidos si sus manuales no la tienen, idealmente antes de que empiece la incorporación al ESaaS. Defina quién clasifica una fuente nueva, cómo distinguir una herramienta no aprobada de una suplantación y cuándo escalar. La aplicación mantiene fuera de las bandejas de entrada el correo no autenticado que usa su dominio, pero no impide que los atacantes lo intenten.
Un servicio de autenticación del correo solo informa sobre los dominios que usted posee, y su política DMARC solo cubre sus dominios exactos. Los dominios similares que registran los atacantes pueden superar la autenticación por sí solos y requieren una monitorización aparte.
Señales de que necesita una gestión dedicada de la autenticación
Un servicio dedicado de autenticación del correo reduce más la carga de trabajo cuando se dan varias de estas condiciones:
- Su equipo gestiona a mano los registros DMARC, SPF y DKIM porque su producto de ESaaS actual no los cubre
- Su empresa envía desde varios dominios, incluidos dominios regionales, de producto, heredados o adquiridos que están fuera del control de TI central
- No tiene un inventario completo y actualizado de todos los servicios que envían correo con sus dominios
- Sus registros SPF y DKIM se quedan desactualizados cuando los departamentos añaden o cambian proveedores
- Su dominio principal sigue en p=none, o estancado en p=quarantine sin un camino hacia p=reject
- Su equipo no tiene capacidad para revisar los reportes agregados con regularidad
- Los auditores, un comité de riesgos o el consejo piden evidencia de sus controles de autenticación del correo
- Se aplican a sus dominios los requisitos de remitentes de Google, Yahoo y Microsoft
Un enfoque interno puede funcionar en un entorno más sencillo, con un solo dominio, una lista corta de remitentes y un equipo con capacidad de DNS. Cuantas más de estas condiciones se cumplan, más sólido es el argumento a favor de un servicio gestionado de autenticación del correo.
Cómo ayuda Sendmarc
El filtrado entrante protege las bandejas de entrada de sus usuarios. Sendmarc aporta el componente saliente de la seguridad del correo, para que los receptores puedan distinguir el correo legítimo que usa su dominio del correo suplantado. Lo hace con menos solicitudes de cambio de DNS, visibilidad de todos los remitentes y evidencia que puede presentar ante los auditores.
- Alojamiento delegado de registros: Sendmarc aloja sus registros DMARC, SPF, MTA-STS y TLS-RPT mediante delegación de DNS
- Visibilidad de todos los remitentes: la plataforma de Sendmarc identifica a los remitentes legítimos y no autorizados en todas las unidades de negocio, incluidas las herramientas no aprobadas que rompen la autenticación
- Aplicación por etapas: Sendmarc lleva los dominios de p=none a p=reject por etapas, para que la facturación, las notificaciones y el correo de marketing sigan llegando a las bandejas de entrada
- Evidencia lista para auditoría: los reportes dan a los auditores y a los consejos una prueba verificable del estado de aplicación y respaldan la alineación con PCI DSS, GDPR, POPIA, ISO, NIST y los requisitos de remitentes de Google, Yahoo y Microsoft
- Monitorización continua: el seguimiento continúa tras la aplicación, para que sus registros de autenticación del correo se mantengan exactos a medida que cambian los proveedores y los dominios
- Protección más allá de sus propios dominios: Defensa contra dominios similares monitoriza los dominios creados para suplantar su marca y Detección de filtraciones señala las direcciones de correo de empleados comprometidas
Descubra cómo la plataforma DMARC empresarial de Sendmarc añade registros delegados, aplicación por etapas y reportes de auditoría al lado de autenticación saliente del ESaaS en todos los dominios desde los que envía su organización.
